管理放棄状態のルーターが多いのは個人？ 法人？ 「NOTICE」で浮かび上がってきた他人まかせの惨状【イニシャルB】
PayPayカードのメリット・デメリット|怖いと言われる理由と評判レビュー。ゴールドと一般どっちがおすすめ?
Adrian Kingsley-Hughes （Special to ZDNET.com） 翻訳校正： 編集部 2024-05-03 10:27 5月の第1木曜日は世界パスワードデーだが、Googleは、パスワードの時代が終わりつつあることを知ってほしいようだ。 パスキーは、オンラインサービスやアプリに登録される公開鍵と、スマートフォンやコンピューターのようなデバイスに保存されている秘密鍵という2つの暗号鍵で構成される。難しく聞こえるかもしれないが、パスキーは、使いやすさを念頭に設計されている。事実、パスキーを使ってのログインには、スマートフォンのロック解除と同様に顔や指紋、暗証番号を使用する。 Googleのセキュリティエンジニアリング担当バイスプレジデントであるHeather Adkin氏は米国時間5月2日、同社がパスキーの提供を2022年の世界パスワードデーに開始して以来、4億以上の
【セキュリティ ニュース】「改訂新版セキュリティエンジニアの教科書」が発売 - 日本シーサート協議会（1ページ目 / 全1ページ）：Security NEXT
日本シーサート協議会が執筆したセキュリティエンジニアを目指す人などを対象とする書籍「改訂新版セキュリティエンジニアの教科書」が発売された。 同書は、セキュリティエンジニアを目指す学生や、人事異動などであらたにセキュリティ部署へ異動し、セキュリティに関する知識をあまり持たない社会人などを想定した書籍。同協議会のシーサート人材ワーキンググループが執筆を担当した。 セキュリティエンジニアが身につけておきたい基礎的な知識やセキュリティ分野のキャリアについて、現職のセキュリティエンジニアが解説。 セキュア開発や脆弱性対応、インシデント対応、セキュリティマネジメントなどのトピックも扱っている。 出版社はシーアンドアール研究所でA5判208ページ。価格は2882円（税込）。ISBNは「978-4863544376」。 （Security NEXT - 2024/05/02 ） ツイート
見落としがちなURL正規化によるパストラバーサル | セキュリティブログ | 脆弱性診断（セキュリティ診断）のGMOサイバーセキュリティ byイエラエ
高度解析部アプリケーションセキュリティ課の金子です。 パストラバーサル（またはディレクトリトラバーサル）はXSSやSQLインジェクションに並んでWebアプリケーションに対する代表的な攻撃手法のひとつです。本記事では、パストラバーサルの中でもURL正規化によるパストラバーサルに焦点を当てて攻撃の発生原理やよくある事例について解説します。関連して、PHP向けのAWS SDKで発見したS3バケットに対するパストラバーサルの脆弱性CVE-2023-51651についても紹介します。 2種類のパストラバーサル パストラバーサルは../のような文字列を含んだ文字列の正規化処理（normalization）を悪用して、アプリケーションが予期しない"領域"に対してアクセスを行う攻撃です。正規化処理を行う対象によって分類することが可能で、次の2種類のパストラバーサルが代表的です: ファイルシステムに対するパス
【セキュリティ ニュース】新「NOTICE」がスタート、脆弱性ある機器も注意喚起対象に（1ページ目 / 全3ページ）：Security NEXT
総務省、情報通信研究機構（NICT）、ICT-ISACは、IoT機器を悪用したサイバー攻撃を防ぐ取り組みとして、あらたな枠組みのもと「NOTICE（National Operation Towards IoT Clean Environment）」を開始した。 これまでも、ボットネットの活動を抑制し、DDoS攻撃などを防止するため、脆弱なIoT機器を調査し、注意喚起を行う取り組みを「NOTICE」として2019年2月より展開。 約14万件の脆弱なIoT機器を特定し、プロバイダ経由で利用者に注意喚起を行ってきたが、2023年度末に期限を迎えたことから、あらたなプロジェクトとして4月より再始動した。 今回開始した「NOTICE」の実施にあたっては、2023年にNICT法が改正されており、従来の業務にくわえ、2024年度よりあらたにサイバーセキュリティ対策について助言する業務なども新設されている
近年、内部不正に起因するセキュリティインシデントが繰り返し報道され、世間を騒がせています。中でも、昨年、大手通信子会社の元派遣社員がシステム管理者のアカウントを悪用して個人情報を持ち出した事件は、記憶に新しいのではないでしょうか。 システムの保守・運用業務に使用する管理者用のアカウント（特権ID）は、機密情報へのアクセスやシステムの設定変更が可能です。高い権限を持つため、悪用された場合、大規模な情報漏えいやサービスの停止など、事業の存続を揺るがす甚大な損失を招く可能性があります。 では、このような事態を防ぐには、どのようなセキュリティ対策を行えば良いのでしょうか。 本ブログでは、内部不正による事件が後を絶たない理由について、システム管理者の権限を悪用した事件を分析しながら、発生した理由と効果的な対策について解説します。 事例で語る！内部不正対策のポイントとは ～すぐ導入できるアクセス制御・
クラウドネイティブ環境においてセキュリティを確保するための包括的なアプローチとして、GartnerはCNAPP(Cloud Native Application Protection Platforms)を提唱しました。本稿では、クラウドネイティブセキュリティ対策として多くの機能を兼ね備えたCNAPPについての近年の動向をお伝えしていきます。 はじめに 皆さん、SANS[i]はご存知でしょうか。SANSは情報セキュリティ分野に特化した世界トップレベルのセキュリティ研究・教育機関で、ニュースダイジェストや脆弱性情報の発信、トレーニングコースの提供などを世界各国で行っています。このSANSがクラウドセキュリティに関するホワイトペーパーとして、「Cloud Security Foundations, Frameworks, and Beyond」[ii]を2023年8月にリリースしています。 2
3月12日火曜日に始まったPublickeyへのDDoS攻撃に対して、これまでサーバの強化、Cloudflareの導入とDDoS対策のための設定を行ってきました。 その結果、3月24日日曜日の夜に始まり3月27日水曜日の朝まで3日間連続で続いたDDoS攻撃のあいだもWebサイトの閲覧と記事更新などを問題なく行える状態となり、DDoS攻撃がWebサイトの運営の大きな障害ではなくなりました。 ちなみにそれ以後DDoS攻撃は止んでいますが、今後はいつDDoS攻撃を受けてもWebサイトの運営に支障がでることはなくなったと考えられます。この記事では結局どのような対策を行ったのか、実際に効果を発揮したDDoS対策を紹介していきます。 これまでの経緯は下記の記事をご参照ください。 Publickeyが受けたDoS攻撃、これまでの経緯と対策まとめ 続、Publickeyが受けたDoS攻撃、これまでの経緯と
OSEP合格体験記 - ペネトレーションテストサービス品質のベースラインを作る取り組み | セキュリティブログ | 脆弱性診断（セキュリティ診断）のGMOサイバーセキュリティ byイエラエ
はじめに オフェンシブセキュリティ部の安里 悠矢です。 普段は組織内の社内ITインフラやクラウド環境上に構築されたインフラに対するペネトレーションテスト業務に従事しています。 突然ですが、皆さんはレッドチーム演習やペネトレーションテストサービスをセキュリティベンダーに依頼する際、ベンダーを選定する基準はどのようにお考えでしょうか。 テストをご依頼するお客様はさまざまなご事情を抱えていますが、弊社にお声がけいただいたお客様で共通しているのは 「テスターがテストを遂行する上で十分なスキルセットを有していること」 という点でした。 レッドチーム演習では、一般的には攻撃スコープが組織全体となり、我々テスターは組織の敵対者として活動する必要があります。 そのため、実務者にはより広範囲なスキルセットが要求されます。 スキルセットの例としては、 OSINT(Open Source Intelligenc
Webアプリケーションに対する脆弱性診断の外注/内製化とバグバウンティの役割の違い - Flatt Security Blog
初めまして、Flatt Security社のブログに寄稿させていただくことになりました、西川と申します。 普段は、SaaS企業でプロダクトセキュリティをメインの仕事としていますが、一般社団法人鹿児島県サイバーセキュリティ協議会の代表理事として活動しております。 さて、今回はプロダクトセキュリティを生業としている私が、脆弱性診断を外注することと内製化すること、それからバグバウンティについてそれぞれの役割を記していきたいと思います。 本記事の目的 脆弱性診断を外注した方が良い、あるいは、内製化した方が良い、という話ではなく、それぞれ役割が異なると考えています。つまりそれは、それぞれが補い合う形で存在しているというものです。そして、これらをさらに補う要素としてバグバウンティがあるという話を通して、みなさまの組織で脆弱性診断をどのようにセキュリティ運用に組み込んでいくのかを検討したり、バグバウンテ
本レポートでは、2024年2月中に発生した観測情報と事案についてまとめています。 目次 DDoS攻撃の観測情報 IIJマネージドセキュリティサービスの観測情報 Web/メールのマルウェア脅威の観測情報 セキュリティインシデントカレンダー DDoS攻撃の観測情報 本項では、IIJマネージドセキュリティサービスやバックボーンなどでIIJが対処したDDoS攻撃のうち、IIJ DDoSプロテクションサービスで検出した当月中の攻撃を取りまとめました。 攻撃の検出件数 以下に今回の対象期間で検出した、DDoS攻撃の検出件数を示します。 図-1 DDoS攻撃の検出件数（2024年2月） 今回の対象期間で検出したDDoS攻撃の総攻撃検出件数は284件であり、1日あたりの平均件数は9.79件でした。期間中に観測された最も規模の大きな攻撃では、最大で約690万ppsのパケットによって71.11Gbpsの通信が
SQL/コマンドインジェクション、XSS等を横串で理解する - 「インジェクション」脆弱性への向き合い方 - Flatt Security Blog
こんにちは、@hamayanhamayan です。 本稿ではWebセキュリティに対する有用な文書として広く参照されているOWASP Top 10の1つ「インジェクション」について考えていきます。色々なインジェクションを例に挙げながら、どのようにインジェクションが起こるのかという発生原理から、どのようにインジェクションを捉え、より広くインジェクションの考え方を自身のプロダクト開発に適用していくかについて扱っていきます。 SQLインジェクションやコマンドインジェクション、XSSのようなインジェクションに関わる有名な手法について横断的に解説をしながら、インジェクションの概念を説明していきます。初めてインジェクションに触れる方にとっては、インジェクションの実例や基本的な考え方に触れることができ、その全体像を把握する助けになるかと思います。 また、既にいくつかのインジェクション手法を知っている方にと
近年、産業用制御システム（Industrial Control System以下、「ICS」という。）におけるセキュリティ対策が重要視されるようになり、関連するセキュリティインシデントへの対応体制に取り組む組織も増えつつあります。一方で、ICSセキュリティ担当者が、ICSを対象としたSIRT（以下、便宜的に「制御系SIRT 」という。）に必要な機能等を検討する際の手がかりが少なく、JPCERT/CCに対して、製造業のICSセキュリティ担当者からのご相談を少なからずいただいたこともあり、「制御系SIRT」が備えるべき機能およびそのために必要な要件等がしるされた参考文献が求められていました。 そこで、さまざまな業種の製造業のICSセキュリティ担当者にご参加いただいたJPCERT/CCが主催するコミュニティーにおいて、製造業における「制御系SIRT」が備えるべき機能およびそのために必要な要件等の
ランサムウェア攻撃事案から見る、ファーストレスポンダー同士の情報共有が必要な理由 - JPCERT/CC Eyes
はじめに 先日、経済産業省から「攻撃技術情報の取扱い・活用手引き」が公開[1]されました。これはインシデント対応支援にあたるファーストレスポンダー（※）や専門組織同士の情報共有を促進するためのレファレンスで、JPCERT/CCは検討会共同事務局として参加し、また、手引き案の作成にも携わりました。 （※）ファーストレスポンダー：インシデントの初動対応にあたる、被害組織を支援するセキュリティベンダーや運用保守ベンダー、その他専門機関などのこと（「攻撃技術情報の取扱い・活用手引き」15ページ参照） サイバー攻撃の高度化・複雑化だけでなく、ランサムウェア攻撃のように、インシデント初動対応時点では、ごく限られた情報で速やかな対応判断が必要になるケースが増えています。2024年1月に開催されたJSAC2024において、JPCERT/CC 佐々木からは「ランサムウェア攻撃のアクター特定をすべきこれだけの
DMARCは大手企業で潤沢に予算がなければできないというものではなく、設定だけであれば簡単なところから始められます。 DMARCの導入についてはSPFまたはDKIMが導入されていることが必要になります。DKIMの導入は容易ではないため普及率はまだ低く、上記東証上場企業の調査では1割に満たないことがわかりました。一方でSPFは導入は簡単で9割を超えています。繰り返しになりますが、SPFまたはDKIMが導入されていればDMARCを設定できるため、9割を超える企業ドメインでDMARCを設定できる状況にあるということになります。誤遮断のリスクなど難しい話をしてしまうと導入障壁が高くなってしまいますが、noneの設定であればそういった懸念はないため、まずはnoneから設定していくのが良いと思われます。 受信側の対策 次に受信側の対策、すなわち上記のSPF・DKIM・DMARCのチェックを行い、不審な
【セキュリティ ニュース】「クレジットカード・セキュリティガイドライン5.0版」が公開（1ページ目 / 全1ページ）：Security NEXT
クレジット取引セキュリティ対策協議会は3月15日、約1年ぶりの改訂版となる「クレジットカード・セキュリティガイドライン5.0版」を公開した。EC加盟店では2025年3月末までにチェックリストに示されたセキュリティ対策を講じる必要がある。 同ガイドラインは、クレジットカード会社、加盟店、決済サービス事業者（Payment Service Provider）などクレジットカード取引に関わる事業者が実施すべきセキュリティ対策について定めたもの。 2020年に初版が公開され、以降は毎年改定を重ねており、今回で「5.0版」となった。割賦販売法にあるセキュリティ対策義務の「実務上の指針」にあたる。 今回の改定では、「クレジットカード情報保護対策」として2025年4月以降、すべてのEC加盟店が「セキュリティ・チェックリスト」にあるセキュリティ対策を実施することを定めた。アクワイアラーやPSPからも準拠す
Googleが2024年3月15日、純正ブラウザ「Chrome」に搭載された「セーフブラウジング機能」にリアルタイムのURL保護機能を実装したことを発表しました。これにより、セーフブラウジング機能がさらに強化され、従来に比べてフィッシングを約25％多くブロックできるとのことです。 Google Chrome introduces real-time Safe Browsing protections https://blog.google/products/chrome/google-chrome-safe-browsing-real-time/ Google Online Security Blog: Real-time, privacy-preserving URL protection https://security.googleblog.com/2024/03/blog-post
JPCERT/CCは、2024年2月7日に制御システムセキュリティカンファレンス2024を開催いたしました。本カンファレンスは、国内外の制御システムにおける脅威の現状や制御システムセキュリティのステークホルダーによる取り組みを共有し、参加者の制御システムセキュリティ対策の向上やベストプラクティス確立の一助となることを目的に開催しています。2009年の初回開催から毎年実施し、今回の開催で16回目となります。 オンラインでの開催は今回で4回目となり、日本全国各地より419名の方々に視聴参加をいただきました。JPCERT/CC Eyesでは開催レポートとして、開会・閉会のご挨拶および7つの講演の様子を紹介いたします。 開会挨拶 経済産業省 サイバーセキュリティ・情報化審議官 上村 昌博 経済産業省サイバーセキュリティ・情報化審議官の上村氏より開会のご挨拶をいただきました。 近年、サイバーとフィジ
匿名通信プロトコルのTorは、ウェブサイトにアクセスしたりメールを送信したりする際の通信経路を秘匿し、インターネット検閲の厳しい国や地域に住むユーザーが検閲を回避するために利用できます。そんなTorを手がける非営利組織のTorプロジェクトが、Torネットワークを標的とした検閲を回避するための新しいブリッジである「WebTunnel」のリリースを正式発表しました。 Hiding in plain sight: Introducing WebTunnel | The Tor Project https://blog.torproject.org/introducing-webtunnel-evading-censorship-by-hiding-in-plain-sight/ Tor Project | WebTunnel Bridge https://community.torproject
【セキュリティ ニュース】警察庁が開発した「Lockbit」復旧ツール、複数被害で回復に成功（1ページ目 / 全2ページ）：Security NEXT
ランサムウェア「LockBit」の対抗措置が各国法執行機関の連携により進められている。警察庁が開発した復旧ツールもそのひとつだ。すでに複数の被害者において暗号化されたファイルの復旧に成功している。 「LockBit」は、攻撃インフラを「RaaS（Ransam as a Service）」として提供し、参加者を広く募ることで大規模に攻撃が展開されてきたランサムウェア。いわゆるリークサイトへの投稿件数では、ランサムウェア全体の4分の1近くを占めるとの分析もある。 こうした犯罪グループの動きに対し、2月に14カ国の法執行機関が協力し、「Cronos作戦」を決行。一部関係者を逮捕したほか、リークサイトや暗号資産（仮想通貨）口座、復号鍵など関連資産を差し押さえるなど対抗措置を講じている。警察庁が開発した「復号ツール」もそのひとつだ。 「Cronos作戦」の発表を通じて、警察庁が開発した被害者を支援す
JPCERT/CC は、2024年1月25日、26日にJSAC2024を開催しました。 本カンファレンスは、セキュリティアナリストの底上げを行うため、 セキュリティアナリストが一堂に会し、インシデント分析・対応に関連する技術的な知見を共有することを目的に開催しています。今回が7回目となるJSACですが、前年度と異なりオフライン形式のみで開催しました。講演については、2日間で17件の講演、3件のワークショップおよび、6件のLightning talkを実施しました。 講演資料は、JSACのWebサイトで公開しています（一部非公開）。JPCERT/CC Eyesでは、本カンファレンスの様子を3回に分けて紹介します。 第1回は、DAY 1 Main Trackの講演についてです。 Amadeyマルウェアに関する活動実態の変遷から得られる教訓 講演者：BlackBerry Japan 株式会社 糟
【セキュリティ ニュース】クラウド利用増加で標的型攻撃が進化 - 「初期アクセス」獲得阻止が重要に（1ページ目 / 全2ページ）：Security NEXT
米政府は、ロシア政府が関与するサイバー攻撃グループ「APT29」が、クラウド環境を標的に攻撃を展開しているとし、手法や対策などを取りまとめ注意を呼びかけた。「初期アクセス」の獲得を阻止することが「最初の防衛線」になると対策の重要性を訴えている。 「APT29」は、別名「Cozy Bear」「Dukes」「Midnight Blizzard」としても追跡されているロシアの攻撃者グループ。過去に「SolarWinds」のサプライチェーン攻撃や、新型コロナウイルスワクチンの開発情報を狙った攻撃などに関与したと見られている。 米国家安全保障局（NSA）、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）、米連邦捜査局（FBI）をはじめとする米当局では、同グループがロシア対外情報庁（SVR）の一部である可能性が高いと分析しており、イギリス、カナダ、オーストラリア、ニュージランドなど
【セキュリティ ニュース】主要上場企業のDMARC導入が加速 - 本格運用はドメイン全体の5％未満（1ページ目 / 全2ページ）：Security NEXT
国内の主要上場企業において送信ドメイン認証技術である「DMARC」の導入が加速している。しかしながら、ドメイン全体で見ると導入されているのは3分の1ほどで、なりすましメールを「隔離」したり「拒否」するよう設定されていたドメインは4.8％にとどまった。 東京証券取引所のプライム市場へ上場し、株価指標に採用されている主要225社が管理、運用するドメイン8545件の状況についてTwoFiveが調査したもの。 「DMARC」を関しては、2023年10月にGoogleや米Yahoo！が迷惑メール対策を強化する方針を公表。1日あたり5000件以上のメールを送信する場合に、「DMARC」への対応などを求めており、2月から一部ガイドラインの運用も開始されている。 2月の時点で調査対象の85.8％にあたる193社が、少なくとも1つのドメインで「DMARC」を導入。2023年11月の153社から17.8ポイン
【セキュリティ ニュース】日本のDMARC導入率13％、米豪と大きな差 - NRIセキュア調査（1ページ目 / 全2ページ）：Security NEXT
NRIセキュアテクノロジーズは、日本企業約1600社をはじめ、米国やオーストラリアの企業を対象にセキュリティ対策の実態調査を実施し、結果を取りまとめた。「DMARC」の導入状況など大きな差が見られた。 同社が2023年8月から9月にかけて2783社を対象にセキュリティに関する実態調査を実施したもの。日本の1657社、米国の540社、オーストラリアの586社が回答した。 送信ドメイン認証技術である「DMARC」について、米国は81.8％、オーストラリアは89.4％の企業が、「reject（拒否）」「quarantine（隔離）」「none（何もしない）」のいずれかで「実施済み」であると答えた。日本では13.0％と2割に満たない。 ルールを「reject」あるいは「quarantine」としている企業に絞ると、やや減少して米国では71.8％、オーストラリアは72.5％となるが、それでも7割を超
コロナ禍をきっかけに、新たな働き方へシフトしている企業や従業員も散見される。そうした業務環境の変化が、情報漏えい発生の新たなリスクとして認識されつつある。この記事では、昨今の業務環境の変化に伴う情報漏えいの実態と、改めて復習しておきたい情報漏えい対策の基本について解説する。 働き方改革が生み出した新たな情報漏えいリスク 2020年以降のコロナ禍においては、企業・組織での働き方も大きく変化することを余儀なくされた。その結果、職種によっては「いつでも、どこでも」業務遂行が可能な環境が整備されたことで、もはや出社する必要性を感じなくなったという話も耳にする。 一方で、コロナ禍が次の段階に移行したことで、リモートワークから出社へと回帰する動きもみられる。リモートワークと出社の双方を組み合わせた「ハイブリッドワーク」なる言葉も生まれるなど、業務や生活の状況に応じた柔軟な働き方を行う企業・組織も出てき
昨今、実在する人物や組織を偽り、電子メールを送付する「なりすましメール」による被害が増加・拡大しています。IPA（Information technology Promotion Agency, Japan）から発表されている「情報セキュリティ10大脅威 2023」では、「ビジネスメール詐欺による金銭被害」が第7位に位置付けられています[1]。 受信者（被害者）が、なりすましメールを本物のメールとして扱うことで、最終的にはマルウェアに感染したり、金銭を要求されたり、重要情報が漏洩したり、被害を受けたりする恐れがあります。また、これらのサイバー犯罪は詐称された企業のブランドイメージや信頼性を脅かすだけでなく、顧客やパートナーとの信頼関係にも影響を及ぼします。 こういった被害の予防や対策として、「DMARC」と呼ばれる技術の活用が推奨されています。DMARCは、送信者ドメインがSPFやDKIM
2024年のセキュリティ、日本企業に向けた10の論点
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます ガートナージャパンは、日本企業が押さえておくべきという2024年のセキュリティ論点を発表した。ガバナンスやリスク、マルチクラウド、AIなど10種類を挙げている。 同社バイスプレジデント アナリストの礒田優一氏は、昨今においてセキュリティの取り組みをステークホルダー（利害関係者）に説明する必要性が今まで以上に高まっているとし、「戦略不在のままその場しのぎの対応を継続した場合、企業として責任を問われた際に説明に窮する事態に陥る可能性がある。セキュリティリスクマネジメント（SRM）のリーダーは、目前の課題や仕事のみに振り回されるのを避けるために、少なくとも年に1回は視野を広げ、自社の取り組みを見つめ直す機会を持つべき。セキュリティとプライバシ
発見されている脆弱性の数が年々増えていることを皆様ご存じでしょうか。以下のグラフをご覧ください。 このグラフは、「CVSS v2」という評価手法を使って、脆弱性の重大度合いを分類したグラフです。現在は、CVSS v2の改良版である「CVSS v3」が主流になっているため、2022年7月を境にNVDではCVSS v2の集計を中止しており、2022年の脆弱性の数が低くなっています。しかし、近年の傾向を考慮すると、非常に多くの脆弱性が発見されていると推測できます。 多くの脆弱性を正確に判断し対応することが求められている一方で、CVSSを用いた対応に課題があることもわかってきています。 本稿では、CVSSに代わる脆弱性の評価手法「SSVC」についてご紹介します。 図1.2013年から2022年までの脆弱性数の推移[1] 出所）NVD[2]のCVSS Severity Distribution Ov
セキュリティエンジニアとして就職してからそろそろ3年経ちます。独断と偏見に基づき、IT初心者・セキュリティ初心者・セキュリティエンジニアの3つの時期に分け、費用対効果の良い勉強法を紹介していきたいと思います。 セキュリティエンジニアとは 「セキュリティエンジニア」という言葉は範囲が広いですが、私が今回記載する内容は脆弱性診断やペネトレーションテストに寄った内容となっています。インシデント対応やアナリスト業務などは専門ではないので、あくまで診断系の人が書いているということをご認識おきください。 そもそもセキュリティエンジニアにどのような職種が含まれるかはラックさんが分かりやすい資料を出しているのでそちらをご覧ください(サイバーセキュリティ仕事ファイル 1、サイバーセキュリティ仕事ファイル 2)。 IT初心者時代 セキュリティを学ぶ以前に基礎となるITを学ぶ時代を考えます。 学校教育 学生の場
2024年1月1日に石川県能登地方を襲った最大震度7の地震を受けて、NTTドコモ、KDDI、ソフトバンクが対象エリアで公衆無線LANサービス「00000JAPAN」（ファイブゼロジャパン）の提供を開始した。 00000JAPANは、無線LANビジネス推進連絡会（Wi-BiZ）が運営する無料の公衆無線LANサービス。国内の通信事業者（MNO）で大規模な通信障害が発生し、通信サービスを利用できない状態が継続する場合や、大規模な災害が国内で起きた場合に開放される。 各キャリアのユーザーは、石川県、新潟県、富山県、福井県のWi-Fiスポット（アクセスポイントが設置されている場所）において、00000JAPANのSSIDに接続することが可能になった。 なお、00000JAPANは誰もが簡単に接続できる利便性を優先しているため、暗号化などのセキュリティ対策がないため、何者かが同名のSSIDを装い、通信
Gmailセキュリティ「通常とは異なるリンクです」
この記事のポイント 「Gmail」セキュリティ機能「通常とは異なるリンクです」が表示されてビックリ 受信したメールに添付されている URL と実際のリンク先が一致しない場合に表示される模様 Android / iOS / WEB 版「Gmail」すべてで機能 Google の代表的な機能の一つである、メールサービス「Gmail」。 「Gmail」は多機能な点はもちろん、高度セキュリティ保護機能「Safer with Google」による、フィッシングメールからの脅威の保護など、安心安全に利用できるメールサービスです。そんな「Gmail」を私も日々活用していますが、本日ちょっと変わった表示が行われたので紹介させていただきます。 「Gmail」の変わった表示は、「通常とは異なるリンクです」です。これは、受信したメールに添付されている URL と実際のリンク先が一致しない場合に表示される模様。こ
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Androidのマルウェアに要注意！ 正規アプリを乗っ取る新手の手口とは？ | ライフハッカー・ジャパン
欧州サイバーレジリエンス法（CRA）の既存標準規格へのマッピングが公開される【海の向こうの“セキュリティ”】
「Google アカウント」、パスキーで保護が4億以上に--導入から2年で
複雑な8文字のパスワードでも、MD5ハッシュだとGeForce RTX 4090で1時間以内に解読されてしまう
Oktaがパスワードレス認証のパスキーを解説、「セキュリティと利便性の高い機能」
Apple、金銭目当てのスパイウェアの標的となった個人に通知
内部不正対策とは？｜事例から学ぶ傾向と３つの対策ポイント
CNAPPとは？変化を続けるクラウドネイティブセキュリティ対策
続々、Publickeyが受けたDDoS攻撃。DDoS対策に効果を発揮した設定紹介編
気付かぬ間に家庭のWi-Fiルーターを狙う「ボットネット」の対策を広めたい！ 総務省がセキュリティ冊子を更新
wizSafe Security Signal 2024年2月 観測レポート
「制御系SIRTの機能を備えるための手引き」（CSIRTマテリアル補完資料）
DMARC導入を例に解説｜メールセキュリティの難しさと対策
Google ChromeがリアルタイムURL保護機能を導入、セーフブラウジング機能のさらなる強化へ
制御システムセキュリティカンファレンス 2024 開催レポート - JPCERT/CC Eyes
マイクロソフト、「Copilot for Security」を4月1日より一般提供開始へ
Tor接続の検閲を回避するためにHTTPS接続を模倣するブリッジ「WebTunnel」のリリースが正式発表される
IPA、「情報セキュリティ10大脅威 2024」の解説および対策のための資料公開
JSAC2024 開催レポート～DAY 1～ - JPCERT/CC Eyes
日本のIT担当者の69％に「セキュリティ疲れ」～ソフォスが調査結果を発表
今改めておさらいしておきたい情報漏えい対策の基本 | サイバーセキュリティ情報局
「DMARCレポート」を活用し、自社のなりすましメール対策をより効果的に！
CVSSに代わる脆弱性の評価手法「SSVC」とは｜迅速な脆弱性対応を目指して
セキュリティエンジニアを3年続けて分かったおすすめ勉強法
石川県などの地震で無料Wi-Fi「00000JAPAN」開放 ドコモが「個人情報の入力は控えて」と注意喚起